Granskning av Teknologsektionen Informationstekniks datahantering Inledning 1 Struktur och metodik 2 Allmänna noteringar 3 Sektionen som helhet 4 Alumnimiddagsansvariga 5 ArmIT 7 digit 10 FanbärerIT 18 FrITid 20 Kandidatmiddagsgruppen 22 Master Reception Committee 23 NollkIT 25 P.R.I.T 27 SexIT 31 SnIT 33 StyrIT (intern verksamhet) 35 Revisorer 37 Valberedning 38
Inledning GDPR är den nya dataskyddsförordningen som börjar gälla den 25:e maj. Den innebär i korthet att alla personuppgifter som sektionen hanterar ska samlas in och hanterar med personen i 1 frågas samtycke. Dessutom innebär det utökade rättigheter hos användaren. Detta ställer nya krav på alla sektionens organ och ett omfattande arbete har påbörjats både på sektion- och kår-nivå för att förbereda inför den nya lagen. Vi som dataskyddsombud har uppdraget att granska sektionens hantering av personuppgifter och rapportera till sektionsmötet. Det är i dagsläget ungefär två veckor kvar tills den nya lagen börjar gälla och sektionen många brister kvar att åtgärda. Sektionen har redan börjat att åtgärda brister men kommer med största sannolikhet inte att bli klara tills 25:e maj. Nedan i detta dokument listas de brister som dataskyddsombuden har upptäckt och anser kräver åtgärd samt respektive organs handlingsplan för att åtgärda nämnda brister. Det är sedan upp till sektionsmötet att godkänna handlingsplanerna eller fastslå andra åtgärder. I dokumentet används liknande termer som de i lagtexten. Lagtexterna går att finna länkade längst ned på denna sida. 1 SV: https://eur-lex.europa.eu/legal-content/sv/txt/pdf/?uri=celex:32016r0679&from=sv EN: https://eur-lex.europa.eu/legal-content/en/txt/pdf/?uri=celex:32016r0679&from=sv 1
Struktur och metodik Struktur Rapporten inleds med några allmänna noteringar kring antaganden och beslut som redan tagits som stöd för arbetet med personuppgifter på sektionen. Dessa noteringar refereras sedan till senare i rapporten. Därpå lyfts några problem som spänner över hela sektionen. Detta är saker som behöver lösas för att sektionens arbete med personuppgifter skall kunna fortskrida. Styrelsen förväntas svara med en handlingsplan för att lösa problemen. Efter rapporteringen om problem som spänner över hela sektionen listas varje organs specifika brister i sin hantering av persondata. Detta följt av föreslagna åtgärder som diskuterats i förväg med det aktuella organet. De föreslagna åtgärderna kan också avslutas med en uppmaning till organet att tillhandahålla en egen handlingsplan för de brister som inte täcks av de redan föreslagna åtgärderna. Detta kan bero på att problemen är omfattande eller att dataskyddsombuden inte har kunnat komma fram till en lösning i samråd med organet. Direkt efter följer organets svar och handlingsplan. Om några brister påträffats bör svaret, handlingsplanen, behandla dessa brister och ge ett datum för när åtgärden skall vara genomförd. Slutligen finns också ett utlåtande från dataskyddsombuden angående handlingsplanen. Utlåtandet skall fungera som underlag för sektionsmötets beslut om att acceptera eller avslå handlingsplanen. Metodik Dataskyddsombuden på sektionen har intervjuat alla sektionens organ. Under dessa har dataskyddsombuden gjort en ytlig genomgång av organens data- lagring och hantering och har utifrån dessa sammanfattat de brister som påträffats. 2
Allmänna noteringar 1. I väntan på juridiskt underlag har sektionsstyrelsen i samråd med dataskyddsombuden gjort tolkningen att bilder där inte en specifik eller en mindre grupp av specifika privatpersoner är i fokus inte räknas som persondata i det allmänna fallet. 2. Sektionsstyrelsen kommer att tillhandahålla någon form utav chattlösning för att kunna kommunicera inom organisationen. 3. Sektionsstyrelsen kommer att tillhandahålla en lagringstjänst åt alla sektionens organ där de kan förvara persondata. 4. Sektionsstyrelsen kommer att samla in uppgifter för en ny lista över f.d. medlemmar i sektionens samtliga organ. Lagring av denna lista kommer därefter att överlåtas till digit som tillhandahåller den för resten av sektionens organ. 3
Sektionen som helhet Sektionen saknar strategier för att hantera den registrerades rätt till dataportabilitet, rättelse och radering. Detta för att påvisa att organisationen har tänk igenom och har ett konkret tillvägagångssätt i händelse av att en registrerad vill utöva en av de ovan nämnda rättigheterna. Utöver dessa behöver sektionen också strategier för hur personuppgifter ska samlas in och en policy för hur personuppgifter skall hanteras och lagras av organisationen (en s.k. privacy policy). Sektionen kommer också att behöva tydliga strategier för hur puffar, aspar och bilder med mera skall hanteras då detta är problematiska ämnen för många utav sektionens organ. En tjänst för intern kommunikation behövs för att organen lättare ska kunna prata med varandra utan att behöva dela personuppgifter till tredje parter. Sektionen kommer att behöva tillhandahålla en lagringstjänst för bland annat personuppgifter till sina organ för att deras och organisationen som helhets verksamhet ska kunna skötas. Slutligen behöver sektionen hantera de listor bestående utav mailadresser till före detta kommittémedlemmar. De behöver antingen samla in korrekt samtycke från de registrerade eller ta bort datan. Svar från styrelsen Sektionens fokus har legat på att sätta upp den infrastruktur som krävs för att vi ska kunna börja följa GDPR vid den 25 maj. I detta är strategier en viktigt del men eftersom de först blir nödvändiga vid en läcka eller utövande av de rättigheter som medlemmar i våra register äger så har det nedprioriteras. Styrelsen kommer att fortsätta arbetet med att ta fram policy för datahantering och strategier men kommer inte att hinna det till den 25 maj. Att de inte är färdig hindrar inte kommitéer från att börja rätta sig efter de utkast som vi har. StyrIT ska se till att det finns färdiga dokument till den 1 Juli. Då kåren i dagsläget anser att Slack är GDPR godkänt så är det StyrITs naturliga val för kommunikation. Det har dock framkommit uppgifter som tyder motsatsen och det är något som förslagsvis StyrIT och Dataskyddsombuden tillsammans. Vad det beträffar lagring har StyrIT ansökt och blivit beviljade G-Suite för organisationen vilket är GDPR godkänt. Alla maillistor som idag hanteras olika kommittéer ska samlas in och alla som som finns med i dessa listor ska bli meddelade om det med möjlighet att ge medgivande om att stå kvar på listan, annars kommer de att tas bort. 4
Alumnimiddagsansvariga Brister B1. Bilder som kan innehålla persondata (Se notering 1). Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B2. Privat Google Drive mapp med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter. Tidigare medlemmar i kommitten kan ha tillgång till datan. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B3. Mail på privata mailkonton. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B4. Chatthistorik på privat Slack. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B5. Kontaktuppgifter till tidigare medlemmar. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B6. Kontaktuppgifter till tidigare it-studenter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. Föreslagna åtgärder F1. (Berör B2 och B3) Flytta majoriteten av datalagringen till en av sektionen tillhandahållen lagringstjänst (Se notering 3). Detta inkluderar även mail. F2. (Berör B3) Ta bort eller samla in korrekt samtycke för all persondata i alla gamla mail. F3. (Berör B4) Efter bästa förmåga ta bort all gammal chatthistorik som innehåller persondata. F4. (Berör B5) Överlåta lagringen av kontaktuppgifter till tidigare medlemmar åt digit (Se notering 4). F5. (Berör B1) Ta bort eller samla in korrekt samtycke för alla bilder som innehåller persondata. F6. (Berör B4) Flytta organets interna kommunikation till den chattlösning som tillhandahålls av sektionen (Se notering 2). 5
De ovan föreslagna åtgärderna, om några, anses tillräckliga för att åtgärda samtliga funna brister förutom B6 för vilka en av kommitten framställd handlingsplan krävs. Svar från organet Vi kommer att utföra de i rapporten nämnda åtgärderna, innan 24 maj. Angående punkt B6 så kommer vi att undersöka om kåren eller högskolan redan samlar in denna typen av data, eventuellt låta den ta del av det vi har och att de samlar in samtycke. Vi kommer att leta en lösning fram till den 30 juni, om vi inte hittar en lösning tar vi bort all insamlad data. Dataskyddsombudens utlåtande Anmärkningar: Alla brister planeras inte vara klara före 25 maj. 6
ArmIT Brister B1. Bilder som kan innehålla persondata (Se notering 1). Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B2. Formulärdata från tidigare hållna arrangemang. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B3. Privat Podio konto med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter. Tidigare medlemmar i kommitten kan ha tillgång till datan. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B4. Mail på privata mailkonton och tredjepartstjänster. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B5. Chatthistorik på privat Slack och Facebook Messenger. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B6. Privat Google Drive mapp med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter. Tidigare medlemmar i kommitten kan ha tillgång till datan. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B7. Kontaktuppgifter till tidigare medlemmar. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B8. Alla medlemmar har inte utbildats i GDPR. För att följa lagen behöver man känna till lagen, utbildningen syftar även till att öka medvetenheten kring personuppgiftshantering. Föreslagna åtgärder F1. (Berör B4 och B6) Flytta majoriteten av datalagringen till en av sektionen tillhandahållen lagringstjänst (Se notering 3). Detta inkluderar även mail. F2. (Berör B4) Ta bort eller samla in korrekt samtycke för all persondata i alla gamla mail. F3. (Berör B5) Efter bästa förmåga ta bort all gammal chatthistorik som innehåller persondata. 7
F4. (Berör B7) Överlåta lagringen av kontaktuppgifter till tidigare medlemmar åt digit (Se notering 4). F5. (Berör B1) Ta bort eller samla in korrekt samtycke för alla bilder som innehåller persondata. F6. (Berör B3 och B5) Flytta organets interna kommunikation till den chattlösning som tillhandahålls av sektionen (Se notering 2). F7. (Berör B8) Boka in en utbildning med dataskyddsombud. De ovan föreslagna åtgärderna, om några, anses tillräckliga för att åtgärda samtliga funna brister förutom B2, B3 och B4 för vilka en av kommitten framställd handlingsplan krävs. Svar från organet B1. Redan utfört. B2. Data från tidigare hållna evenemang som innehåller personuppgifter har tagits bort. B3. Majoriteten av datan som lagrades på Podio har raderats. Den data som finns kvar kommer flyttas över till sektionens tillhandahållna lagringstjänst senast 25 maj 2018 eller inom en vecka efter den införts. B4. Medlemmarna i ArmIT kommer gå över till att använda sektionens konto för mail i stället för privata konton inom två dagar efter att tjänsten tillhandahålls. Alla mail som är äldre än ett år kommer raderas, med undantag för mail som rör Date-IT. Tid kommer avsättas för att gå igenom dessa mail och antingen radera dem eller skicka ut mail för att samla in samtycke för att behålla eventuell persondata. Åtgärden vidtas senast 25 maj 2018. B5. Den föreslagna åtgärden F3 vidtas senast 25 maj 2018. B6. Den föreslagna åtgärden F1 vidtas senast 25 maj 2018. B7. Listan med kontaktuppgifter till tidigare medlemmar har mailats till StyrIT. Listan beräknas bli godkänd senast 25 maj 2018. B8. De medlemmar som inte utbildats i GDPR har kontaktat sektionens dataskyddsombud för att boka in ett utbildningstillfälle som beräknas utföras innan 25 maj 2018. F1. Åtgärden vidtas senast 25 maj 2018. F2. Åtgärden vidtas senast 25 maj 2018. 8
F3. Åtgärden vidtas senast 25 maj 2018. F4. Åtgärden vidtas senast 25 maj 2018. F5. Redan utfört. F6. Åtgärden vidtas senast 25 maj 2018 eller inom två dagar efter att den nya chattlösningen införts. F7. Åtgärden vidtas senast 25 maj 2018. Dataskyddsombudens utlåtande Inga anmärkningar 9
digit Brister B1. Register över användare. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. Gamla kommittémedlemmar har tillgång till datan. B2. Hantering utav användares lösenord till externa tjänster. Den här typen av känslig hantering bör endast göras med robusta användaravtal som klart och tydligt berättar hur den insamlade datan kommer att användas. B3. Hantering av användares platsinformation. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. Gamla kommittémedlemmar har tillgång till datan. B4. Tjänster för som hanterar data utan användaravtal. Data får ej samlas in eller hanteras utan korrekt användaravtal. B5. Tjänster för personuppgiftshantering. Data får ej samlas in eller hanteras utan korrekt användaravtal. I fallet av tjänster som hjälper andra att samla in data behövs även ett datahanteringsavtal som uttrycker båda parternas ansvar och tillgång till den insamlade datan. B6. Flera utspridda kopior av samtlig data. Datan kan innehålla omodererade och oidentifierade personuppgifter som gamla kommittémedlemmar har tillgång till. Gamla kommittémedlemmar har tillgång till datan. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B7. Flera kända säkerhetsproblem. Sektionen måste förhindra läckage av användardata. B8. Otydliga ansvarsområden vid lagring och hantering av andra organs data. Det finns i dagsläget inga riktlinjer, användaravtal eller styrdokument som hanterar vem som har vilken ansvar för den datahantering som görs av hela sektionen vi digit s tjänster. B9. Stora mängder odokumenterad datalagring. Datan kan innehålla omodererade och oidentifierade personuppgifter som gamla kommittémedlemmar har tillgång till. Gamla kommittémedlemmar har tillgång till datan. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B10. Privat Google Drive mapp med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter som gamla kommittémedlemmar har tillgång till. Sektionen har otillräcklig kontroll över hur datan förvaras och används. 10
B11. Kontinuitet på en instans av MediaWiki. Datan kan innehålla omodererade och oidentifierade personuppgifter. MediaWiki passar inte som en lagringsplattform för persondata eftersom ändringshistoriken inte går att ta bort. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B12. Chatthistorik på nätverket Matrix. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B13. Formulärdata från tidigare hållna arrangemang. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B14. Bilder som kan innehålla persondata (Se notering 1). Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B15. Mail på privata mailkonton. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B16. Inofficiella mötesprotokoll. Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B17. Privat Trello-Board med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B18. Kontaktuppgifter till tidigare medlemmar. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B19. Officiell social media profil/sida med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. Föreslagna åtgärder F1. (Berör B10 och B15) Flytta den data som skall behållas från den privata drive-mappen till en av sektionen tillhandahållen lagringstjänst (Se notering 3). Detta inkluderar även mail. F2. (Berör B15) Ta bort eller samla in korrekt samtycke för all persondata i alla gamla mail. F3. (Berör B12) Efter bästa förmåga ta bort all gammal chatthistorik som innehåller persondata. 11
F4. (Berör B16) Gå igenom och ta bort eller samla in korrekt samtycke för alla personuppgifter i de inofficiella mötesprotokollen. F5. (Berör B14) Ta bort eller samla in korrekt samtycke för alla bilder som innehåller persondata. F6. (Berör B13) Ta bort formulärdata från tidigare hållna arrangemang. F7. (Berör B12) Flytta organets interna kommunikation till den chattlösning som tillhandahålls av sektionen (Se notering 2). F8. (Berör B17) Ta bort all persondata på samtliga privata trello-konton. F9. (Berör B11) Radera samtlig persondata från organets instans av MediaWiki. F10. (Berör B18) Samla in samtycke för eller ta bort kontaktuppgifter till tidigare medlemmar. F11. (Berör B19) Ta bort eller samla in korrekt samtycke för de persondata som finns på sociala medier. De ovan föreslagna åtgärderna, om några, anses tillräckliga för att åtgärda samtliga funna brister förutom B1-B9 för vilka en av kommitten framställd handlingsplan krävs. Svar från organet Inledning digit har valt att lösa brister i tre olika steg. Steg 1. Mindre brister skall vara lösta senast 25 Maj 2018. Bristerna som skall vara lösta till dess: B10 - B19. Steg 2. Brister angående användaravtal skall vara lösta senast 31 oktober 2018. Bristerna som skall vara lösta till dess: B1 - B5 och B8. Detta steg kommer handla till det mesta om att skriva användaravtal. Steg 3. Brister angående kontroll av data skall vara lösta senast 31 December 2018. Bristerna som skall vara lösta tills dess: B6, B7 och B9. Detta steg kommer handla till det mesta om att undersöka var vi har data, se till att vi inte har persondata som inte används och se till att inte obehöriga har tillgång till den. Vi är medvetna om att detta kommer innebära att vi inte kommer vara GDPR redo förrän 31 December, men vi har inte tiden att hinna klart alla brister innan den 25 maj. Med dessa datum har vi tillräckligt med tid att få igång de viktigaste tjänsterna och att de är i ett stabilt tillstånd. I och med GDPR kommer vi att strukturera om mycket för att enklare följa de krav som ställs på 12
oss. Det kan hända att vissa mindre tjänster kommer behövas tas offline om tiden inte räcker till. Detta gäller främst steg 3, vilket är anledningen till att vi har gett oss själva mest tid på detta steg. Brister hos digit B1. Register över användare. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. Gamla kommittémedlemmar har tillgång till datan. digit skall lösa detta på följande sätt: Skriva robusta användaravtal per tjänst som tar in persondata. Ge användarna 30 dagar på sig att acceptera nya användaravtalen per tjänst innan vi raderar datan per tjänst. Tjänster skall ej fungera till användaravtalet har accepterats. Ta bort tillgång som gamla kommittéemedlemmar har, samt be dem att ta bort alla lokala kopior de möjligtvis har. B2. Hantering utav användares lösenord till externa tjänster. Den här typen av känslig hantering bör endast göras med robusta användaravtal som klart och tydligt berättar hur den insamlade datan kommer att användas. digit skall lösa detta på följande sätt: Skriva robusta användaravtal hur digit hanterar och använder sig av användarens lösenord till externa tjänster. Inte ge användarna möjlighet att använda tjänsterna som använder sig av lösenord till externa tjänster tills användaravtalet per tjänst blivit accepterad. B3. Hantering av användares platsinformation. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. Gamla kommittémedlemmar har tillgång till datan. digit skall lösa detta på följande sätt: Skriva robusta användaravtal per tjänst som tar in platsinformation. Ge användarna 30 dagar på sig att acceptera nya användaravtalen per tjänst innan vi raderar datan per tjänst. Tjänster skall ej fungera förens användaravtalet accepterats. Ta bort tillgång som gamla kommittéemedlemmar har, samt be dem att ta bort alla lokala kopiera de möjligtvis har. B4. Tjänster för som hanterar data utan användaravtal. Data får ej samlas in eller hanteras utan korrekt användaravtal. 13
digit skall lösa detta på följande sätt: Skriva robusta användaravtal per tjänst om hur digit hanterar data som samlas in. B5. Tjänster för personuppgiftshantering. Data får ej samlas in eller hanteras utan korrekt användaravtal. I fallet av tjänster som hjälper andra att samla in data behövs även ett datahanteringsavtal som uttrycker båda parternas ansvar och tillgång till den insamlade datan. digit skall lösa detta på följande sätt: Skriva robusta användaravtal per tjänst om hur digit hanterar data som samlas in. Vara tydliga i användaravtal att digit endast är data processors, och att i fall där data samlas in med hjälp av andra, är då personerna som samlar in data de som också är ansvarig för datan. B6. Flera utspridda kopior av samtlig data. Datan kan innehålla omodererade och oidentifierade personuppgifter som gamla kommittémedlemmar har tillgång till. Gamla kommittémedlemmar har tillgång till datan. Sektionen har otillräcklig kontroll över hur datan förvaras och används. digit skall lösa detta på följande sätt: digit ska be gamla kommittéemedlemmar att radera data som kan kan innehålla omodererade och oidentifierade personuppgifter. digit ska se till att ingen kommittéemedlem som går av i framtiden tar med sig data som kan kan innehålla omodererade och oidentifierade personuppgifter. digit ska se till att ha kontroll på vart data sparas, hur den förvaras och hur den används. B7. Flera kända säkerhetsproblem. Sektionen måste förhindra läckage av användardata. digit skall lösa detta på följande sätt: Fortsätta förbättra infrastrukturen. Regelbundet byta lösenord, ha starka lösenord, förvara lösenord säkert samt vara varsam till vilka som har tillgång till lösenorden. Fortsätta att aktivt öka säkerheten på digits kodbaser. B8. Otydliga ansvarsområden vid lagring och hantering av andra organs data. Det finns i dagsläget inga riktlinjer, användaravtal eller styrdokument som hanterar vem som har vilken ansvar för den datahantering som görs av hela sektionen vi digit s tjänster. 14
digit skall lösa detta på följande sätt: Skriva tydliga användaravtal i fall när andra samlar in data genom digit. Då skall det vara tydligt att digit endast är data processors och inte ansvariga för själva datan som samlas in. Det ansvaret ligger på de som samlar in datan. B9. Stora mängder odokumenterad datalagring. Datan kan innehålla omodererade och oidentifierade personuppgifter som gamla kommittémedlemmar har tillgång till. Gamla kommittémedlemmar har tillgång till datan. Sektionen har otillräcklig kontroll över hur datan förvaras och används. digit skall lösa detta på följande sätt: Gå igenom all data på våra servrar och radera data som inte längre används samt inte har blivit godkänd att den får sparas. Ta bort tillgång som gamla kommittéemedlemmar har, samt be dem att ta bort alla lokala kopiera de möjligtvis har. digit skall se till att ta kontroll på vart data sparas, hur den förvaras och hur den används. B10. Privat Google Drive mapp med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter som gamla kommittémedlemmar har tillgång till. Sektionen har otillräcklig kontroll över hur datan förvaras och används. digit kommer lösa detta problem genom att följa föreslaget från dataskyddsombuden, vilket följer: Flytta den data som skall behållas från den privata drive-mappen till en av sektionen tillhandahållen lagringstjänst (Se notering 3). Detta inkluderar även mail. B11. Kontinuitet på en instans av MediaWiki. Datan kan innehålla omodererade och oidentifierade personuppgifter. MediaWiki passar inte som en lagringsplattform för persondata eftersom ändringshistoriken inte går att ta bort. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. digit kommer lösa detta problem genom att följa föreslaget från dataskyddsombud, vilket följer: Radera samtlig persondata från organets instans av MediaWiki. B12. Chatthistorik på nätverket Matrix. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. digit kommer lösa detta problem genom att följa föreslaget från dataskyddsombud, vilket följer: 15
Flytta organets interna kommunikation till den chattlösning som tillhandahålls av sektionen (Se notering 2). B13. Formulärdata från tidigare hållna arrangemang. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. digit kommer lösa detta problem genom att följa föreslaget från dataskyddsombud, vilket följer: Ta bort formulärdata från tidigare hållna arrangemang. B14. Bilder som kan innehålla persondata (Se notering 1). Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. digit kommer lösa detta problem genom att följa föreslaget från dataskyddsombud, vilket följer: Ta bort eller samla in korrekt samtycke för alla bilder som innehåller persondata. B15. Mail på privata mailkonton. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. digit kommer lösa detta problem genom att följa föreslagen från dataskyddsombud, vilket följer: Flytta den data som skall behållas från den privata drive-mappen till en av sektionen tillhandahållen lagringstjänst (Se notering 3). Detta inkluderar även mail. samt Ta bort eller samla in korrekt samtycke för all persondata i alla gamla mail. B16. Inofficiella mötesprotokoll. Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. digit kommer lösa detta problem genom att följa föreslaget från dataskyddsombud, vilket följer: Gå igenom och ta bort eller samla in korrekt samtycke för alla personuppgifter i de inofficiella mötesprotokollen. B17. Privat Trello-Board med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. 16
digit kommer lösa detta problem genom att följa föreslaget från dataskyddsombud, vilket följer: Ta bort all persondata på samtliga privata trello-konton. B18. Kontaktuppgifter till tidigare medlemmar. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. digit kommer lösa detta problem genom att följa föreslaget från dataskyddsombud, vilket följer: Samla in samtycke för eller ta bort kontaktuppgifter till tidigare medlemmar. B19. Officiell social media profil/sida med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. digit kommer lösa detta problem genom att följa föreslaget från dataskyddsombud, vilket följer: Ta bort eller samla in korrekt samtycke för de persondata som finns på sociala medier. Dataskyddsombudens utlåtande Anmärkningar: Alla brister planeras inte vara klara före 25 maj. Bristerna som påträffats i digit s datahantering är av mycket omfattande karaktär. 17
FanbärerIT Brister B1. Privat Google Drive mapp med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter. Tidigare medlemmar i kommitten kan ha tillgång till datan. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B2. Formulärdata från tidigare hållna arrangemang. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B3. Inofficiella mötesprotokoll. Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B4. Mail på privata mailkonton. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B5. Chatthistorik på Facebook Messenger. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B6. Kontaktuppgifter till tidigare medlemmar. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. Föreslagna åtgärder F1. (Berör B4) Ta bort eller samla in korrekt samtycke för persondata i alla gamla mail. F2. (Berör B5) Efter bästa förmåga ta bort all gammal chatthistorik som innehåller personuppgifter F3. (Berör B6) Överlåta lagringen av kontaktuppgifter till tidigare medlemmar åt digit F4. (Berör B1 och B4) Flytta majoriteten av datalagringen till en av sektionen tillhandahållen lagringstjänst (Se notering 3). Detta inkluderar även mail. F5. (Berör B5) Flytta organets interna kommunikation till den chattlösning som tillhandahålles av sektionen (Se notering 2). F6. (Berör B3) Gå igenom och ta bort eller samla in korrekt samtycke för alla personuppgifter i de inofficiella mötesprotokollen. 18
F7. (Berör B2) Ta bort formulärdata från tidigare hållna arrangemang. De ovan föreslagna åtgärderna anses tillräckliga för att åtgärda samtliga funna brister och ingen ytterligare handlingsplan krävs. Svar från organet Vi i FanbärerIT ämnar utföra alla de föreslagna åtgärder innan den 10 maj. Dataskyddsombudens utlåtande Inga anmärkningar 19
FrITid Brister B1. Privat Google Drive mapp med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B2. Chatthistorik på Facebook Messenger. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B3. Bilder som kan innehålla persondata (Se notering 1). Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B4. Formulärdata från tidigare hållna arrangemang. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B5. Mail på privata mailkonton. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B6. Officiell social media profil/sida med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. Föreslagna åtgärder F1. (Berör B1 och B5) Flytta majoriteten av datalagringen till en av sektionen tillhandahållen lagringstjänst (Se notering 3). Detta inkluderar även mail. F2. (Berör B5) Ta bort eller samla in korrekt samtycke för all persondata i alla gamla mail. F3. (Berör B2) Efter bästa förmåga ta bort all gammal chatthistorik som innehåller persondata. F4. (Berör B3) Ta bort eller samla in korrekt samtycke för alla bilder som innehåller persondata. F5. (Berör B4) Ta bort formulärdata från tidigare hållna arrangemang. F6. (Berör B6) Ta bort eller samla in korrekt samtycke för de persondata som finns på sociala medier. 20
De ovan föreslagna åtgärderna anses tillräckliga för att åtgärda samtliga funna brister och ingen ytterligare handlingsplan krävs. Svar från organet Vi i fritid planerar att utföra alla föreslagna åtgärder innan den 25 maj. Dataskyddsombudens utlåtande Inga anmärkningar 21
Kandidatmiddagsgruppen Brister B1. Privat Google Drive mapp med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter. Tidigare medlemmar i kommitten kan ha tillgång till datan. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B2. Mail på privata mailkonton. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. Föreslagna åtgärder F1. (Berör B1 och B2) Flytta majoriteten av datalagringen till en av sektionen tillhandahållen lagringstjänst (Se notering 3). Detta inkluderar även mail. F2. (Berör B2) Ta bort eller samla in korrekt samtycke för all persondata i alla gamla mail. De ovan föreslagna åtgärderna anses tillräckliga för att åtgärda samtliga funna brister och ingen ytterligare handlingsplan krävs. Svar från organet Vi vill genomföra detta så fort vi har access till G-Suite. Vi antar att vi får tillgång till G-Suite inom en snar framtid och säger därför att detta skall vara klart den 24:e maj. Dataskyddsombudens utlåtande Inga anmärkningar 22
Master Reception Committee Violations B1. Google Drive folder with unstructured old personal data collected without proper consent which old committee members still have access to. The folder may contain unmoderated and unidentified personal data. Previous members of the committee may have access to this data. B2. Pictures which may contain personal data (See note 1). This data may have been collected without proper consent. The data may contain unmoderated and unidentified personal data. B3. Contact information to natural persons who helped them with the previous reception. This data may have been collected without proper consent. B4. Mixed data complementing their Google Drive folder on Podio. This data may contain unmoderated and unidentified personal data. Previous members of the committee may have access to this data. Suggested measures F1. (Concerning B4) Move their internal communication to the chat solution provided by the section (See note 2). F2. (Concerning B2) Collect consent or remove all pictures containing personal data (See note 1). F3. (Concerning B3) Collect consent or remove all contact information to natural persons who helped them with the previous reception. F4. (Concerning B1) Remove or Move all data from their private drive folder to the storage solution provided by the section (See note 3). This also includes mail. F5. (Concerning B4) Go through all data on podio and remove or move all personal data to the storage solution provided by the section (See note 3). The suggested measures above cover all found violations and no further measure must be provided by the committee. Answer from the committee 23
MRCIT will perform above suggested measures, having handled them all by latest June 8th 2018. The data protection officers recommendation Remarks: All violations aren t planned to be handled before 25 May. 24
NollkIT Brister B1. Privat Google Drive mapp med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B2. Chatthistorik på Facebook Messenger. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B3. Bilder som kan innehålla persondata (Se notering 1). Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B4. Kontinuitet på en instans av MediaWiki. Datan kan innehålla omodererade och oidentifierade personuppgifter. MediaWiki passar inte som en lagringsplattform för persondata eftersom ändringshistoriken inte går att ta bort. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B5. Formulärdata från tidigare hållna arrangemang. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B6. Mail på privata mailkonton. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B7. Inofficiella mötesprotokoll. Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B8. Filmer som kan innehålla persondata (Se notering 1). Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B9. Privatpersoner som hjälper till under arrangemang har tillgång till persondata rörande aktuellt arrangemang. Dessa privatpersoner har inte nödvändigtvis någon utbildning för att hantera personuppgifter. Dessa personer är inte en del av organisationen och kan därmed inte specificeras i ett potentiellt avtal mellan organisationen och den registrerade. 25
B10. Officiell social media profil/sida med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. Föreslagna åtgärder F1. (Berör B1 och B6) Flytta majoriteten av datalagringen till en av sektionen tillhandahållen lagringstjänst (Se notering 3). Detta inkluderar även mail. F2. (Berör B6) Ta bort eller samla in korrekt samtycke för all persondata i alla gamla mail. F3. (Berör B2) Efter bästa förmåga ta bort all gammal chatthistorik som innehåller persondata. F4. (Berör B7) Gå igenom och ta bort eller samla in korrekt samtycke för alla personuppgifter i de inofficiella mötesprotokollen. F5. (Berör B3) Ta bort eller samla in korrekt samtycke för alla bilder som innehåller persondata. F6. (Berör B5) Ta bort formulärdata från tidigare hållna arrangemang. F7. (Berör B8) Ta bort eller samla in korrekt samtycke för alla filmer som innehåller persondata. F8. (Berör B10) Ta bort eller samla in korrekt samtycke för de persondata som finns på sociala medier. De ovan föreslagna åtgärderna, om några, anses tillräckliga för att åtgärda samtliga funna brister förutom B4 och B9 för vilka en av kommitten framställd handlingsplan krävs. Svar från organet Alla föreslagna åtgärder ska vi utföra och det innan den 24:e maj. Angående punkt B4 har vi som förslag att vi tar bort wikipedian i sin helhet som ska ske innan den 24:e maj. Angående punkt B9 har vi som förslag att i anmälan till arrangemang måste man godkänna att sektionskommitté:er och övriga arrangörer får ta del av persondatan inför och under arrangemanget för att kunna planera och arra. Detta ska börja göras direkt. Dataskyddsombudens utlåtande Anmärkningar: NollKIT specificerar inte hur det ska säkerställas att de som hjälper till hanterar persondata enligt gällande lagstiftning och regler. 26
P.R.I.T Brister B1. Data på privata enheter. Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B2. Privat Google Drive mapp med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter. Tidigare medlemmar i kommitten kan ha tillgång till datan. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B3. Kontaktuppgifter till privatpersoner som hjälpt dem i deras verksamhet. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B4. Chatthistorik på privat Slack och Facebook Messenger. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B5. Mail på privata mailkonton. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B6. Kontinuitet på en instans av MediaWiki. Datan kan innehålla omodererade och oidentifierade personuppgifter. MediaWiki passar inte som en lagringsplattform för persondata eftersom ändringshistoriken inte går att ta bort. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B7. Inofficiella mötesprotokoll. Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B8. Bilder som kan innehålla persondata (Se notering 1). Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B9. Kontaktuppgifter till tidigare medlemmar. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B10. Formulärdata från tidigare hållna arrangemang. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. 27
B11. Privatpersoner som hjälper till under arrangemang har tillgång till persondata rörande aktuellt arrangemang. Dessa privatpersoner har inte nödvändigtvis någon utbildning för att hantera personuppgifter. Dessa personer är inte en del av organisationen och kan därmed inte specificeras i ett potentiellt avtal mellan organisationen och den registrerade. B12. Officiell social media profil/sida med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. Föreslagna åtgärder F1. (Berör B1, B2 och B5) Flytta majoriteten av datalagringen till en av sektionen tillhandahållen lagringstjänst (Se notering 3). Detta inkluderar även mail. F2. (Berör B5) Ta bort eller samla in korrekt samtycke för all persondata i alla gamla mail. F3. (Berör B4) Efter bästa förmåga ta bort all gammal chatthistorik som innehåller persondata. F4. (Berör B7) Gå igenom och ta bort eller samla in korrekt samtycke för alla personuppgifter i de inofficiella mötesprotokollen. F5. (Berör B8) Ta bort eller samla in korrekt samtycke för alla bilder som innehåller persondata. F6. (Berör B10) Ta bort formulärdata från tidigare hållna arrangemang. F8. (Berör B9) Överlåta lagringen av kontaktuppgifter till tidigare medlemmar åt digit (Se notering 4). F9. (Berör B4) Flytta organets interna kommunikation till den chattlösning som tillhandahålls av sektionen (Se notering 2). F10. (Berör B3) Ta bort eller samla in korrekt samtycke för samtliga kontaktuppgifter till privatpersoner som hjälpt organet i sin verksamhet. F11. (Berör B12) Ta bort eller samla in korrekt samtycke för de persondata som finns på sociala medier. De ovan föreslagna åtgärderna, om några, anses tillräckliga för att åtgärda samtliga funna brister förutom B6 och B11 för vilka en av kommitten framställd handlingsplan krävs. Svar från organet B1. Data på privata enheter. Samtliga medlemmar har tagit bort all persondata som finns på personliga enheter och 28
samlats in samband med verksamheten. B2. Privat Google Drive mapp med blandade data. Driven har rensats på filer med persondata. De filer som finns kvar och innehåller persondata insamlad i enlighet med GDPR kommer att flyttas till en av sektionen tillhandahållen lagringstjänst när denna fås. B3. Kontaktuppgifter till privatpersoner som hjälpt dem i deras verksamhet. Alla berörda har kontaktats och P.R.I.T. har fått tillstånd att spara kontaktuppgifterna till dess att syftet är avklarat. B4. Chatthistorik på privat Slack och Facebook Messenger. Facebook Messengerchatter har tagits bort gott som möjligt. Persondata har tagits bort från Slack. B5. Mail på privata mailkonton. P.R.I.T. relaterad mail har tagits bort från privata konton. Mail som behöver sparas skall flyttas till den nya mailen när den fås. B6. Kontinuitet på en instans av MediaWiki. Med hjälp av digit kommer det att skapas en ny wiki sida senast den 31 oktober, därefter kommer all kontinuitet att flyttas manuellt från den nuvarande MedaWikin till den nya av digit tillhandahållna wikipediasidan. Detta uppskattas ta lite tid då kontinuiteten är utspridd men arbetet beräknas vara klart till den 31 december. B7. Inofficiella mötesprotokoll. Mötesprotokollen har rensats på personuppgifter. B8. Bilder som kan innehålla persondata. Bilder som är insamlade utan korrekt samtycke har tagits bort. B9. Kontaktuppgifter till tidigare medlemmar. Listor med kontaktuppgifter till tidigare medlemmar löses av StyrIT. B10. Formulärdata från tidigare hållna arrangemang. Formulärdata med data som ej är insamlad med korrekt samtycke, samt/ eller vars syfte är avklarat har raderats. B11. Privatpersoner som hjälper till under arrangemang har tillgång till persondata rörande aktuellt arrangemang. Ett muntligt avtal gällande hantering av personuppgifter kommer att tas med de privatpersoner som hjälper under arrangemang så att de får ha tillgång till persondata under det aktuella arrangemanget. 29
B12. Officiell social mediaprofil/sida med blandade data. Data med ej korrekt insamlade data på social mediaprofil/ sida har raderats. Dataskyddsombudens utlåtande Anmärkningar: Alla brister planeras inte vara klara före 25 maj. P.R.I.T. specificerar inte hur det ska säkerställas att de som hjälper till hanterar persondata enligt gällande lagstiftning och regler. 30
SexIT Brister B1. Privat Google Drive mapp med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B2. Bilder som kan innehålla persondata (Se notering 1). Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B3. Kontinuitet på en instans av MediaWiki. Datan kan innehålla omodererade och oidentifierade personuppgifter. MediaWiki passar inte som en lagringsplattform för persondata eftersom ändringshistoriken inte går att ta bort. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B4. Formulärdata från tidigare hållna arrangemang. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B5. Mail på privata mailkonton. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B6. Chatthistorik i privat Facebook Messenger chat. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B7. Privatpersoner som hjälper till under arrangemang har tillgång till persondata rörande aktuellt arrangemang. Dessa privatpersoner har inte nödvändigtvis någon utbildning för att hantera personuppgifter. Dessa personer är inte en del av organisationen och kan därmed inte specificeras i ett potentiellt avtal mellan organisationen och den registrerade. B8. Data på privata enheter. Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B9. Officiell social media profil/sida med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. Föreslagna åtgärder 31
F1. (Berör B1, B5 och B8) Flytta majoriteten av datalagringen till en av sektionen tillhandahållen lagringstjänst (Se notering 3). Detta inkluderar även mail. F2. (Berör B2) Ta bort eller samla in korrekt samtycke för all persondata i bilderna (Se notering 1). F3. (Berör B4) Ta bort formulärdata från tidigare hållna arrangemang. F4. (Berör B5) Ta bort eller samla in korrekt samtycke för all persondata i alla gamla mail. F5. (Berör B6) Efter bästa förmåga ta bort all gammal chatthistorik som innehåller persondata. F6. (Berör B6) Flytta organets interna kommunikation till den chattlösning som tillhandahålls av sektionen (Se notering 2). F7. (Berör B9) Ta bort eller samla in korrekt samtycke för de persondata som finns på sociala medier. De ovan föreslagna åtgärderna, om några, anses tillräckliga för att åtgärda samtliga funna brister förutom B3 och B7 för vilka en av kommitten framställd handlingsplan krävs. Svar från organet F1 - Läggs över utan persondata när vi får tillgång till ny driven F2 - Tar bort bilder på FB, 20:e maj F3 - Tar bort data på drive innan 20:e maj F4 - Alla tar bort alla gamla mail med utomstående persondata, 20:e maj F5 - Tar bort FB-chatter, 20:e maj F6 - Görs så fort vi får tillgång till den F7 - Raderar persondata, 20:e maj F8 - Ett muntligt avtal gällande hantering av personuppgifter kommer att tas med de privatpersoner som hjälper under arrangemang så att de får ha tillgång till persondata under det aktuella arrangemanget och instruerar dem hur de ska hantera persondatan korrekt. Skriver i potentiella anmälan vilka som kommer ta del av persondatan inför arret. Dataskyddsombudens utlåtande Inga anmärkningar 32
SnIT Brister B1. Privat Google Drive mapp med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter som gamla kommittémedlemmar har tillgång till. B2. Bilder som kan innehålla persondata (Se notering 1). Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B3. Formulärdata från tidigare hållna arrangemang. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B4. Mail på privata mailkonton. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B5. Chatthistorik på privat Slack. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B6. Inofficiella mötesprotokoll. Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. B7. Privat Trello-Board med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter. Sektionen har otillräcklig kontroll över hur datan förvaras och används. B8. Officiell social media profil/sida med blandad data. Datan kan innehålla omodererade och oidentifierade personuppgifter. Datan kan innehålla personuppgifter som inte är insamlade med korrekt samtycke. Föreslagna åtgärder F1. (Berör B1, B4 och B7) Flytta majoriteten av datalagringen till en av sektionen tillhandahållen lagringstjänst (Se notering 3). Detta inkluderar även mail. F2. (Berör B2) Ta bort eller samla in korrekt samtycke för all persondata i bilderna (Se notering 1). F3. (Berör B3) Ta bort formulärdata från tidigare hållna arrangemang. 33